Sichere Forms Anwendungen mit Java Plug-In und Zertifikaten

Transkript

1 Sichere Forms Anwendungen mit Java Plug-In und Zertifikaten Jürgen Menge, Wolfgang Weigend ORACLE Deutschland B.V. & Co. KG Schlüsselworte Java, JDK, JRE, Java Plugin, Zertifikate, Oracle Forms Einleitung Viele Web-Applikationen, darunter auch Oracle Forms-Anwendungen benötigen das Java Plugin im Browser zu ihrer Ausführung. Aus dieser Tatsache ergeben sich einige Herausforderungen für den Betrieb dieser Applikationen im Unternehmen: Auf den Desktops muss eine Version des Plugin installiert und konfiguriert werden, die einen stabilen Betrieb der Applikationen ermöglicht (Zertifizierung der Hersteller). Durch Oracle werden regelmäßig Sicherheits-Updates des Java Runtime Environments (JRE) veröffentlicht, die im Interesse der Sicherheit installiert werden sollten. Auf den Desktops müssen gleichzeitig mehrere Applikationen betrieben werden, die möglicherweise unterschiedliche Versionen des Plugin erfordern. Im Unternehmen können unterschiedliche Browser (IE, Firefox, Safari, Chrome) und unterschiedliche Versionen dieser Browser eingesetzt werden. Der Vortrag soll Möglichkeiten aufzeigen, diese teilweise miteinander im Konflikt stehenden Anforderungen (z.b. Stabilität versus Sicherheit) in der Praxis umzusetzen. Die Java Plattform Die Java Plattform mit dem bestehenden Ökosystem unterstreicht die hohe Verbreitung der Java- Technologie mit weltweit über 9 Millionen registrierten Java Entwicklern, 930 Millionen Java Runtime Environment (JRE) Downloads pro Jahr, mehr als 1.1 Milliarden Java Desktops, 3 Milliarden mobilen Endgeräten mit Java und 1.4 Milliarden Java Cards, die Jahr für Jahr hergestellt werden. Java führt die Liste der am häufigsten verwendeten Programmiersprachen an und ist in allen Schulen und Universitäten fester Bestandteil der Ausbildung. Darin liegt auch die Stärke von Java: Die Community

2 vergrößert sich und tauscht sich global über die Kodierung aus, so dass ohne komplexe Einarbeitung der Programmiercode gelesen, nachvollzogen und verändert werden kann. Aus diesem Grund wird der freie Zugang zu aktuellen Informationen für die Weiterentwicklung der Java Community uneingeschränkt zur Verfügung gestellt. Die einheitliche Entwicklungsbasis bildet dabei das offene und frei verfügbare OpenJDK, als zentrale Grundlage für die Aktivitäten der Java Standard Edition 7 (Java SE 7) und der Java Standard Edition 8 (Java SE 8). Java ist der technologische Ausgangspunkt der meisten Hardware- und Software-Hersteller und bildet auch die Basis für die Oracle Fusion Middleware mit Oracle Fusion Applications. Dies verdeutlicht auch das Geschäftsmodell für die Java- Entwickler, das die anhand der gelernten Programmiersprache und der frei zugänglichen Java- Technologie die von ihnen erstellte Programmierlogik in Form von Anwendungen und neuen Services in die kommerzielle Vermarktung bringt. Die Verwendung von Java in Open Source-Projekten macht einen Großteil der IT-Landschaft aus, bietet doch der kommerzielle Einsatz des Java-Programmier- Codes die Möglichkeit einer Einnahmequelle für die Entwickler. Bereits bei der Verwendung vom OpenJDK ist der Entwickler integraler Bestandteil einer klar umrissenen Java-Strategie. Die neuen OpenJDK Community-Richlinien wurden in Zusammenarbeit mit IBM, Eclipse Foundation, Oracle und Einzelpersonen erstellt und führen die Arbeiten des OpenJDK Governance Board weiter. Das Gremium hat Regeln aufgestellt, die den langfristigen Bestand und das Wachstum der OpenJDK Community fördern und sicherstellen, dass die Mitglieder in klarer und offener Weise agieren und die administrative Governance nach dem Leistungsprinzip erfolgt. So wird ein hohes Qualitätsniveau für das OpenJDK erreicht. An der Weiterentwicklung vom OpenJDK sind neben Oracle große Hersteller wie IBM, Apple, SAP, HP, Twitter, Azul Systems und VMware beteiligt. Alle setzen auf die einheitliche Java Plattform, die aus der Java Sprache, der Java Virtual Machine (JVM) und den Java APIs für unterschiedliche Funktionalitäts- und Hardware-Anforderungen wie Java Enterprise Edition (Java EE), Java Standard Edition (Java SE) und Java Micro Edition (Java ME) besteht, siehe Abbildung 1. Abbildung 1: Die Java Plattform Die Java Plug-In Technologie ist direkter Bestandteil des Java Runtime Environment (JRE), innerhalb der Java Standard Edition (Java SE) und sie verbindet die unterschiedlichen Web-Browser mit der Java Plattform. Damit können Java-Applets auf Web-Seiten im Browser ausgeführt werden oder auf dem Desktop gestartet werden. Das Java Plug-In besteht aus dem in Java geschriebenen plugin.jar

3 und einer nativen Code-Bibliothek für den jeweiligen Web-Browser. Mit dem Java 6 Update 10 wurde das Next-Generation Java Plug-In eingeführt, mit besserer Unterstützung für MS Windows, verbesserter Java/JavaScript-Kommunikation und eingebauter Unterstützung für das JNLP-Protokoll (WebStart). Mit dem JDK 7 Update 40 wurden neue Sicherheitsmechanismen über die Deployment Rule Sets eingeführt (siehe Abschnitt Deployment Rule Sets ). Java SE und Java SE Advanced Support Die Java Standard Edition bildet die Grundlage für die Oracle Fusion Middleware und für den Middleware-Stack vieler Softwareanwendungen. Sie wird auch für viele eigenständige WebStart- und applet-basierte Desktop-Anwendungen verwendet. Im wesentlichen bekommen die Kunden durch einen Oracle Java-Supportvertrag Unterstützung bei technischen Problemstellungen in ihren Java- Anwendungen und können auch ältere Java-Versionen mit aktueller Sicherheitstechnik absichern. Die Java SE Versionen von Oracle mit JDK 7.x und JDK 8.x sind in einem Zeitfenster von 3-4 Jahren nach Fertigstellung frei verfügbar. Bug-Fixes und kritische Security-Updates werden in diesem Zeitraum kostenfrei per Download bereitgestellt. Ist eine Java-Version, wie beispielsweise das Oracle JDK 6, nicht mehr öffentlich erhältlich, so ist sie nur für Kunden mit einem Java SE Support Vertrag zugänglich, weil das Oracle JDK 6 noch nicht das Ende des Lebenszyklus (End-of-Life) erreicht hat, sondern weiterhin Sicherheitsverbesserungen erfährt. Abhängigkeiten von anderen Software- Herstellern und extrem langes Versions-Management von Anwendungen führen dazu, dass viele Java- Benutzer ihre unternehmenskritischen Java-Anwendungen oft auf älteren Java-Versionen betreiben müssen. Nur mit einem Java SE Support-Vertrag sind sie dann in der Lage, sich gegen bekannt gewordene Fehler oder Security-Schwachstellen abzusichern. Im Jahr 2015 wurde Java SE 7 aus dem kostenfreien Java-Update-Zeitrahmen herausgenommen, so dass eine Migration auf Oracle JDK 8 ansteht oder die Absicherung mittels aktueller Java-Updates für eine ältere Version durch einen Java Support-Vertrag benötigt wird. Neben der Unterstützung von älteren Java-Versionen, bietet der Java SE Support-Vertrag auch die Anpassung für neue Hardware und Betriebsysteme, sowie den Zugriff auf einen 24x7 - und deutschsprachigen Telefon-Support für kritische Anwendungen. Oracle Forms und Java Für die aktuell unterstützen Forms-Versionen 11g, Rel. 1 und Rel. 2 sind die auf dem Desktop einsetzbaren Browser und Versionen des JRE in den Zertifizierungsübersichten des Oracle Technet aufgeführt. Seit Oracle Forms 11g entfällt die Abhängigkeit vom Betriebssystem des Desktops. An dieser Stelle sollte auch noch darauf hingewiesen werden, dass die Supportzyklen des übergeordneten Produktes (in diesem Fall von Oracle Fusion Middleware Forms und Reports) den Vorrang vor den Supportzyklen der integrierten Komponenten (in diesem Fall des JRE) haben. Seit einigen Jahren laufen Oracle Forms-Anwendungen als Applet im Browser. Dazu benötigen sie das Java Plug-In eines zertifizierten Java Runtime Environment (JRE) im Browser. Die Sicherheitsmaßnahmen innerhalb von Java wurden schrittweise erhöht und sie kontrollieren die im Browser verwendeten JRE-Versionen. Dazu kommt die Absicherung von signiertem Java-Code mit gültigen Zertifikaten und möglichen Zertifikatsketten. Diese Maßnahmen und weitere Critical Patch Updates, die Sicherheitslücken schliessen, unterstützen die Administratoren beim stabilen Betrieb von Forms-Applikationen. Für das Deployment von Java Applets gibt es eine Reihe von Parametern, die in der Dokumentation der jeweiligen Java SE im Abschnitt Applet Deployment Parameters beschrieben sind. Schaut man in den Forms Services Deployment Guide, findet man nur einen Teil dieser

4 Parameter in der Dokumentation beschrieben. Der Grund dafür liegt darin, dass nur die dokumentierten Parameter mit Oracle Forms getestet und damit offiziell supportet sind. Allerdings gibt es spezielle Notes vom Oracle Support, die diese Parameter beschreiben und damit deren Einsatz in Verbindung mit Oracle Forms ermöglichen. An dieser Stelle sollen zwei Parameter genannt werden, die in der Forms-Dokumentation nicht aufgeführt aber für die Ausführung von Forms-Applikationen sehr interessant sind: (1) java_version (Support Note ) Dieser Parameter gibt die Java-Version an, mit der das Applet ausgeführt werden soll. Damit ist es möglich, unterschiedliche Applets in verschiedenen Browser-Tabs mit unterschiedlichen Java- Versionen auszuführen. (2) separate_jvm (Support Note ) Dieser Parameter gibt an, ob für das Applet eine eigene JVM gestartet wird. Deployment Rule Sets (DRS) Unternehmen, die Oracle Forms-Anwendungen einsetzen stehen vor einem Dilemma. Einerseits sollen sie die aktuellsten Java-Versionen auf dem Desktop installieren, um vor Angriffen aus dem Internet geschützt zu sein. Andererseits müssen sie den stabilen Betrieb der Forms-Applikationen sicherstellen und sind daher an möglichst wenigen Updates auf dem Desktop interessiert. Jedes Update des JRE erfordert einen Test aller Applikationen, was einen erheblichen Aufwand darstellt. Eine Möglichkeit, dieses Dilemma aufzulösen, besteht im Einsatz der Deployment Rule Sets (DRS). Die Deployment Rule Sets können die Java-Anwendungssteuerung vom Browser des Arbeitsplatzes übernehmen, auf dem mindestens das JDK 7 Update 40 vorhanden ist und bis zum JDK 6 Update 10 auch ältere Java-Versionen parallel installiert sind. Damit können Java-Web Start- und Applet- Anwendungen im Browser vom aktuellen JDK 8 Update 20 nahtlos bis zum JDK 6 Update 10 über das Deployment Rule Set kontrolliert und gesteuert werden, sodass die zugelassenen und ausgewählten Java-Anwendungen unternehmensweit benutzt werden können, ohne dabei Sicherheitswarnungen oder Authentifizierungsdialoge zu unterdrücken. Konkret bedeutet dies, dass Forms-Applikationen, die nur intern im Unternehmen laufen und daher weniger durch Einflüsse aus dem Internet bedroht sind, mit einer älteren und gründlich getesteten Java-Version ausgeführt werden. Andere Applikationen, die der Benutzer im Browser aufruft, verwenden dagegen die aktuelle und damit sicherste Java-Version. Mit der Konfigurationsdatei ruleset.xml wird die Verhaltensweise von Java-Anwendungen im Browser gesteuert und das Executable-Jar-File DeploymentRuleSet.jar in den Anwenderprofilen im Unternehmen verteilt, siehe Listing 1. Listing 1: Vom Rule Set in den Key Store a) XML-Datei ruleset.xml erzeugen <ruleset version="1.0+"> <rule> <id location=" /> <action permission="run" version="1.7.0_25"/>

5 </rule> <rule> <id /> <action permission="block" /> </rule> </ruleset> b) XML-Datei paketieren jar.exe -cvf C:\projects\jdk1.8.0_20\drs\DeploymentRuleSet.jar C:\projects\jdk1.8.0_20\drs\ruleset.xml c) 2048-bit RSA, 50-jähriges, self-signed Zertifikates mit dem keytool.exe Kommando erzeugen keytool.exe -genkey -alias SelfSigned -keystore "C:\projects\jdk1.8.0_20\drs\SelfSigned.jks" -keyalg RSA -keysize startdate "2000/01/01 00:00:00" -validity d) Zertifikat exportieren keytool.exe -export -file "C:\projects\jdk1.8.0_20\drs\SelfSigned.cer" -alias SelfSigned -keystore "C:\projects\jdk1.8.0_20\drs\SelfSigned.jks" e) Jar-Datei signieren jarsigner.exe -keystore "C:\projects\jdk1.8.0_20\drs\SelfSigned.jks" -signedjar "C:\projects\jdk1.8.0_20\drs\DeploymentRuleSet.jar" C:\projects\jdk1.8.0_20\drs\DeploymentRuleSet.jar SelfSigned f) DeploymentRuleSet.jar ins Verzeichnis C:\Windows\Sun\Java\Deployment folder kopieren und zusätzlich im Java Control Panel überprüfen, ob das Ruleset verwendet wird und das Zertifikat gültig ist, welches vorher mit dem Java Control Panel im User Trusted Certificates Store importiert wurde. Java Advanced Management Console Die mit dem Java 8 Update 20 eingeführte Java Advanced Management Console (AMC) ermöglicht für Kunden mit Oracle Java Advanced SE Support eine zentrale Überwachung, Verwaltung und Steuerung von Security-Konfigurationen aller installierten Java-Umgebungen, die im Intranet verwendet werden sollen. Dabei stützt sich die Java AMC auf die Informationen vom Java Usage Tracker und die Konfigurationen vom Deployment Rule Set (siehe Abbildung 2). Der Java Usage Tracker liefert die Konfiguration der Properties-Files von den Client-Desktops und ermöglicht die Erfassung und Speicherung der Versionen und Einstellungen aller Java-Laufzeitumgebungen im Unternehmen in der AMC-Datenbank. Diese Informationen können dann von den System- Administratoren untersucht und analysiert werden. Die Deployment Rule Set-Konfiguration in der AMC unterstützt mit einer grafischen Oberfläche den Prozess der Konfiguration, dem Monitoring und dem Deployment der neuen Sicherheitsfunktionalität. In der AMC-Datenbank werden die Regeln gespeichert, die beschreiben, welche Java Versionen für die ausgewählten Applet- oder WebStart-

6 Anwendungen eingesetzt werden sollen und welche Anwendungen vertrauenswürdig sind, von welchen Servern sie heruntergeladen werden dürfen und ob die Java-Security Mitteilungen als Pop- Up-Fenster unterdrückt werden sollen. In der Java AMC werden alle aktiven Java-Anwendungen dargestellt, die über den Java Usage Tracker erfasst wurden, so dass man dadurch einen Überblick zu allen Forms-Anwendungen mit dem Hinweis zur jeweiligen Java-Version erhält. Abbildung 2: Java Advanced Management Console Zusammenfassung Für die Ausführung von Oracle Forms-Anwendungen ist ein Java Plugin im Browser erforderlich. Dies stellt den Betrieb vor die Herausforderung, aus Sicherheitsgründen möglichst aktuelle Versionen der JRE zu installieren und andererseits den stabilen Betrieb der Unternehmens-Applikationen zu gewährleisten. Bestimmte Applet-Parameter und die Deployment Rule Sets bieten die Möglichkeit, zwei unterschiedliche Zielstellungen zu vereinen. Informationen können in der offiziellen Dokumentation (Java SE Documentation, Oracle Forms Deployment Guide) und in speziellen Support Notes von Oracle gefunden werden. Forms-Kunden wird an dieser Stelle empfohlen, aktuelle Java- Sicherheits-Updates einzuspielen und die Ausführung der Forms-Applikationen an ältere, getestete Versionen der JRE mit Hilfe der Deployment Rule Sets zu binden. Diese Maßnahme wird durch spezielle Java Werkzeuge, wie Java Control Panel, Java Usage Tracker und Java Advanced Management Console unterstützt, die im Oracle Java SE Advanced Support und Oracle Java SE Advanced Desktop Support enthalten sind. Kontaktadressen:

7 Wolfgang Weigend ORACLE Deutschland B.V. & Co. KG Robert-Bosch-Strasse Dreieich Telefon: +49 (0) wolfgang.weigend@oracle.com Internet: Dr. Jürgen Menge ORACLE Deutschland B.V. & Co. KG Riesstr. 25 D München Telefon: +49 (0) juergen.menge@oracle.com Internet: